茨城県の中小企業が今すぐ取り組むべきホームページのセキュリティ対策

最近、弊社にこんなご相談が急増しています。

「ホームページが知らない間に改ざんされていた」「管理画面にログインできなくなった」「Googleから『このサイトは危険です』と表示されてしまった」

茨城県内の中小企業から、こうしたセキュリティインシデントに関するご相談が以前に比べて明らかに増えています。被害を受けた企業に共通しているのが「WordPressのアップデートを長期間していなかった」「プラグインが古いまま放置されていた」という状態です。

2026年7月には、WordPressで認証不要のサイト乗っ取りにつながる緊急脆弱性「wp2shell」が発覚し、IPA（情報処理推進機構）も緊急注意喚起を発表しました。また茨城県警察は、企業・組織向けにサイバー犯罪対策の研修プログラムを提供するなど、県内でもサイバーセキュリティへの対応が急務となっています。

この記事では、茨城県内でWordPressサイトを運営している中小企業の方に向けて、なぜ今セキュリティ対策が急務なのか・具体的なリスクと攻撃の実態・今すぐ取り組むべき対策まで、正確な情報をもとに解説します。

なぜ今、茨城県の中小企業もセキュリティ対策が必要なのか

「うちの小さなサイトは狙われない」は間違い

サイバー攻撃は大企業だけの問題ではありません。IPAの「情報セキュリティ10大脅威2026」でもランサムウェア被害は5年連続で第1位の脅威と位置付けられており、中小企業でもDXが進みIT活用が広がる一方で、サイバー攻撃の被害も増加しており、重大な経営リスクとなっています。

攻撃者は自動化されたツールで、インターネット上のWordPressサイトを24時間365日スキャンし続けています。大企業も中小企業も、個人のブログも関係なく、古いバージョンを使っているサイトは無差別に狙われます。

茨城県警察もサイバー対策を強化中

茨城県警察はJC3（日本サイバー犯罪対策センター）と連携し、企業・組織向けにサイバー衛生研修プログラムを提供しています。また茨城県警察のウェブサイトでは、ウェブサイト改ざん・ウェブサイト攻撃・ランサムウェア・ノーウェアランサムなど、企業・組織向けのサイバー犯罪対策情報を随時発信しています。

県警がここまで積極的に対策を呼びかけている背景には、茨城県内でも実際の被害が増加しているという現実があります。

IPA「SECURITY ACTION」に宣言している茨城県内企業も増加

IPAのSECURITY ACTION宣言事業者一覧（2026年7月14日時点）には、茨城県内の多くの企業・事業者が掲載されており、農業・製造業・サービス業など幅広い業種の事業者がセキュリティへの取り組みを宣言しています。

セキュリティ対策は「IT企業だけの問題」ではなく、茨城県内のあらゆる業種・規模の企業にとって、今や経営上の必須課題となっています。

WordPressサイトが抱える具体的なリスク

WordPressは攻撃者に最も狙われるCMS

WordPressは全ウェブサイトの約41.2%、CMS利用サイト内で約59.1%を占める世界最大のCMSです（W3Techs、2026年7月時点）。1つの脆弱性を見つければ多くのサイトを効率的に攻撃できるため、攻撃者にとって費用対効果の高いターゲットとなります。またWordPressはオープンソースであり、コードを解析することで脆弱性を発見しやすい環境にあります。膨大なテーマやプラグインが「入り口」を多数生み出しており、攻撃対象領域が広い点も特徴です。

プラグインが最大の弱点

WordPressのセキュリティ問題の多くはプラグインに起因しています。プラグインは多数の開発者がそれぞれ作成するため品質にばらつきがあり、使用実績があり安全性が確認できるものを選び、定期的な更新・不要プラグインの削除が有効な対策です。

実際に起きている被害

2026年に入り、国内外でサイバー攻撃による個人情報漏洩やランサムウェア被害が相次いでいます。委託先・サプライチェーンを経由した被害が業種を問わず広がっており、大企業だけでなく中小企業もその被害に巻き込まれています。

WordPressサイトが攻撃を受けた場合、以下のような被害が発生します。

サイトの改ざん
自社サイトが知らない間に詐欺サイトや出会い系サイトへの誘導ページに書き換えられます。Googleから「危険なサイト」と判定されると、検索結果から除外されることがあります。

顧客情報・問い合わせデータの流出
お問い合わせフォームから送信されたデータ・会員情報などが盗み出されます。個人情報保護法の観点からも、深刻な問題につながります。

ランサムウェアへの感染
サイトのデータが暗号化され、「元に戻したければ身代金を払え」と要求されるケースがあります。2025年のランサムウェアの身代金中央値は約929万円へと急増しており、中小企業にとって経営存続を脅かすレベルの被害となっています。

サイトのダウン・表示不能
攻撃を受けることで、ホームページ自体が表示されなくなるケースがあります。問い合わせ・予約・ECなどがサイト経由の場合、ビジネス機会の損失に直結します。

2026年7月に発覚した緊急脆弱性「wp2shell」

2026年7月17日、WordPressに認証不要でサイトを乗っ取られる可能性がある深刻な脆弱性が発覚しました。「CVE-2026-63030」と「CVE-2026-60137」を組み合わせた攻撃チェーンは「wp2shell」と呼ばれ、プラグインを使っていない標準構成のサイトでも、ログインパスワードを知らなくてもサイトを乗っ取られる恐れがあるとされています。

この脆弱性はWordPress 6.8以降が対象で、修正版としてWordPress 7.0.2・6.9.5・6.8.6がリリースされています。IPAもCISAも緊急の注意喚起を発表しており、修正版公開直後から実際の攻撃も確認されています。

まずは自社のWordPressのバージョンを今すぐ確認してください。

茨城県の中小企業が今すぐ取り組むべきセキュリティ対策

対策①｜WordPressを最新バージョンに保つ

管理画面の「ダッシュボード」→「更新」からバージョンを確認し、アップデートが必要な場合は速やかに対応してください。セキュリティリリース（マイナーアップデート）は自動更新を設定しておくと、更新漏れを防げます。

アップデート前には必ずバックアップを取得してください。最新バージョンのリリース直後は既存のテーマやプラグインがそのバージョンに対応できていないことがあります。使用しているテーマやプラグインが新しいバージョンと互換性があるかを確認し、事前にバックアップを取る必要があります。

対策②｜PHPを推奨バージョンに保つ

WordPressを動かすプログラミング言語であるPHPも、定期的なバージョンアップが必要です。2026年時点ではPHP 8.3以上が推奨とされており、古いバージョンのPHPはセキュリティ更新が提供されないため、脆弱性が発見されても修正されないリスクがあります。

管理画面の「ダッシュボード」→「サイトヘルス」で現在のPHPバージョンを確認できます。「PHPの更新を推奨」と表示されている場合は早急な対応が必要です。

対策③｜プラグインを定期的に更新・整理する

プラグインの脆弱性報告件数が多く、使用実績があり安全性が確認できるものを選ぶことが重要です。また以下のルールを日常の運用に組み込みましょう。

• 月1回以上、プラグインの更新状況を確認する
• 使っていないプラグインは「削除」する（無効化だけでは不十分）
• 長期間更新が止まっているプラグインは代替品への移行を検討する
• 新しいプラグインを追加する前にレビュー・更新頻度・インストール数を確認する
  
  

対策④｜管理者IDとパスワードを強化する

「admin」という管理者IDと簡単なパスワードの組み合わせは、ブルートフォース攻撃（総当たり攻撃）に対して極めて脆弱です。以下の対応を行ってください。

• 管理者IDを「admin」以外に変更する
• パスワードは12文字以上・英数字・記号を混在させた複雑なものにする
• 複数のサイトで同じパスワードを使い回さない
  
  

対策⑤｜二段階認証（2FA）を導入する

パスワードが漏洩しても、二段階認証があれば不正ログインを防げます。「WP 2FA」「Google Authenticator」などのプラグインで簡単に設定できます。

対策⑥｜ログイン試行回数を制限する

ブルートフォース攻撃を防ぐため、一定回数以上のログイン失敗でアクセスをブロックする設定を行います。「Limit Login Attempts Reloaded」などのプラグインで対応できます。

対策⑦｜定期的なバックアップを取得する

どれだけ対策をしても、万が一に備えてバックアップは必須です。

• バックアップの頻度：更新頻度に合わせて毎日〜週次
• 保存先：サーバー上だけでなく外部ストレージにも保存する
• 定期的に復元テストを行い、正常に復元できるか確認する
• プラグイン例：BackWPup・UpdraftPlusなど
  
  

対策⑧｜セキュリティプラグインを導入する

本体・テーマ・プラグインの既知の脆弱性を自動検出するツールとして、WPScan・Wordfence Security・Sucuri SiteCheckなどがあります。定期スキャンによって既知の脆弱性を早期に把握できます。

また日本語対応のSiteGuard WP Pluginは、ログインページのURL変更・画像認証・ログイン履歴の確認が可能で、国内の中小企業に広く使われています。

対策⑨｜SSL対応（https化）を確認する

URLが「https://」から始まっているかを確認してください。SSL未対応のサイトは通信が暗号化されておらず、ログイン情報などが盗まれるリスクがあります。Googleの検索順位にも悪影響を与えるため、未対応の場合は速やかに対応しましょう。

被害を受けた場合の相談窓口

万が一、ホームページが改ざんされた・不正アクセスを受けた疑いがある場合は、以下の窓口に相談してください。

茨城県警察　サイバー事案に関する相談窓口
茨城県警察では、サイバー事案に関する通報・相談を受け付けています。緊急を要する事案（爆破予告・殺人予告・自殺予告等の人命に関わるもの）は110番通報してください。それ以外のサイバー事案の相談については、住所地を管轄する警察署にあらかじめ電話連絡し、日程調整を行ってから来署相談することを推奨しています。

IPA（情報処理推進機構）
情報セキュリティに関する相談窓口「情報セキュリティ安心相談窓口」を設置しています。（電話：03-5978-7509）

警察庁　サイバー事案に関する相談窓口
警察庁では、サイバー事案に関する通報・相談・情報提供の全国統一のオンライン受付窓口を設置しています。

まとめ｜セキュリティ対策は「やっておいて当たり前」の時代に

茨城県の中小企業が取り組むべきWordPressセキュリティ対策について重要なポイントを整理します。

【今すぐ確認すべきこと】

• WordPress本体のバージョン（6.8以降なら「wp2shell」対策として最新版への更新が必要）
• PHPのバージョン（PHP 8.3以上が推奨）
• プラグインのアップデート状況と不要プラグインの削除

【日常的に継続すべき9つの対策】

• WordPressを常に最新バージョンに保つ
• PHPを推奨バージョンに保つ
• プラグインを定期的に更新・整理する
• 管理者IDとパスワードを強化する
• 二段階認証を導入する
• ログイン試行回数を制限する
• 定期的なバックアップを取得する
• セキュリティプラグインを導入する
• SSL対応（https化）を確認する

サイバー攻撃は「いつか来るかもしれないリスク」ではなく、「今この瞬間も狙われている現実」です。茨城県警察も積極的に対策を呼びかけているこの機会に、自社のホームページのセキュリティ状況を改めて見直してみてください。